Garante per la protezione

Ordinanza di ingiunzione nei confrontidi Gruppo Finelco s.p.a.

PROVVEDIMENTO DEL 24 GENNAIO 2013

Registro dei provvedimenti
n. 30 del 24 gennaio 2013

IL GARANTE PER LA PROTEZIONE DEI DATIPERSONALI

NELLAriunione odierna, alla presenza del dott. Antonello Soro, presidente, delladott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna BianchiClerici, componente e del dott. Giuseppe Busia, segretario generale;

RILEVATOche il Nucleo speciale privacy della Guardia di finanza, in esecuzione dellarichiesta di informazioni ai sensi dell'art. 157 del Codice in materia diprotezione dei dati personali (di seguito denominato Codice) nr. 22436/U del 14ottobre 2009 formulata da questa Autorità, ha svolto gli accertamenti di cui alverbale di operazioni compiute datato 16 febbraio 2010, dal quale à risultatoche il Gruppo Finelco s.p.a., con sede in Milano, largo Guido Donegani n. 1, inpersona del legale rappresentante pro-tempore: a) ha effettuato un trattamentodi dati personali mediante l'utilizzo di un impianto di videosorveglianza,omettendo di rendere agli interessati l'informativa circostanziata di cuiall'art. 13 del Codice e al punto 3.1 del provvedimento sulla videosorveglianzadatato 29 aprile 2004 in vigore all'epoca dei fatti; b) ha effettuato, inqualità di titolare, trattamenti di dati personali con strumenti elettronici voltia definire il profilo e la personalità dell'interessato, rientranti tra quelliprevisti dall'art. 37, comma 1, lett. d), del Codice raccolti tramite i sitiInternet www.105.net (anche al fine di partecipare al concorso "SummerCompilation"), www.radiomontecarlo.net, www.unitedmusic.it, senza averprovveduto alla notificazione al Garante;

VISTOil verbale nr. 21/2010 dell'8 marzo 2010 (che qui si intende integralmenterichiamato) con cui sono state contestate al Gruppo Finelco le violazioniamministrative previste dagli artt. 161 (relativamente ai trattamentieffettuati mediante videosorveglianza) e 163 del Codice, in relazione agliartt. 13 e 37, informandolo della facoltà di effettuare il pagamento in misuraridotta ai sensi dell'art. 16 della legge n. 689/1981;

VISTOil provvedimento del Garante datato 22 luglio 2010, notificato a Gruppo Finelcos.p.a. il 29 luglio 2010, con cui l'Autorità ha accertato inoltre: a)l'inidoneità dell'informativa ai sensi dell'art. 13 del Codice a fronte dellaraccolta di dati personali effettuata tramite i siti web www.105.net (anche alfine di partecipare al concorso "Summer Compilation"),www.radiomontecarlo.net,  www.unitedmusic.it e www.virginradioitaly.it(per non aver indicato in modo chiaro e preciso le categorie di soggetti cui idati vengono comunicati); b) l'omessa acquisizione di uno specifico consenso,ai sensi dell'art. 23 del Codice, per i trattamenti di dati aventi qualifinalità l'invio di comunicazioni commerciali, le operazioni di profilazione ela comunicazione a terzi;

VISTOil verbale nr. 19653/67650 del 2 settembre 2010 (che qui si intendeintegralmente richiamato) con cui sono state contestate al Gruppo Finelco, leviolazioni amministrative previste dagli artt. 161 e 162, comma 2 bis delCodice, nella forma aggravata di cui all'art. 164-bis, comma 3, in relazioneagli artt. 13 e 23, informandolo della facoltà di effettuare il pagamento inmisura ridotta ai sensi dell'art. 16 della legge n. 689/1981;

RILEVATO,inoltre, che la società non risulta avere impugnato il suddetto provvedimentoma vi ha prontamente ottemperato;

ESAMINATOil rapporto del Nucleo speciale privacy della Guardia di finanza predisposto aisensi dell'art. 17 della legge 24 novembre 1981, n. 689, relativo al verbale dicontestazione per due distinte violazioni amministrative redatto in data 8marzo 2010 nei confronti del Gruppo Finelco s.p.a.;

ESAMINATO,altresì, il rapporto dell'Ufficio del Garante predisposto ai sensi dell'art. 17della legge 24 novembre 1981, n. 689, relativo al verbale di contestazione perdue distinte violazioni amministrative redatto in data 2 settembre 2010 neiconfronti del Gruppo Finelco s.p.a., per violazione degli artt. 13 e 23,entrambe in relazione all'art. 164 bis, comma 3, del Codice;

RILEVATOdai predetti rapporti che non risultano essere stati effettuati i pagamenti inmisura ridotta;

VISTOil primo scritto difensivo inviato ai sensi dell'art. 18 della legge n.689/1981 e datato 19 aprile 2010, afferente alla contestazione di cui al verbalen. 21/2010 dell'8 marzo 2010, nel quale la società ha evidenziato come laUnited Music s.r.l., società del Gruppo Finelco che aveva già provveduto anotificare al Garante i trattamenti di cui all'art. 37 del Codice, essendo unasocietà a socio unico (Gruppo Finelco s.p.a.), il cui legale rappresentanterag. Claudio Fabbri à lo stesso del Gruppo Finelco, non ha "() ritenutonecessario effettuare una nuova notificazione al Garante con la sostituzionedel titolare del trattamento dei dati". Visto anche l'ulteriore scrittodifensivo dell'11 novembre 2010 nel quale, relativamente alla distintacontestazione di cui al verbale n. 19653/67650 del 2 settembre 2010, à statoosservato, tra l'altro, che "() gli iscritti alle community (105 –RMC – Virgin) non hanno mai ricevuto comunicazioni commercialiprovenienti da partners commerciali, né il Gruppo Finelco ha mai profilato gliutenti per poter effettuare indagini di mercato al fine di cedere tali analisia società terze";

VISTOil verbale di audizione delle parti relativo alle due contestazioni redatto aisensi dell'art. 18 della legge n. 689/1981 in data 9 febbraio 2011 in cui lasocietà, ribadendo che "()il Gruppo ha affrontato nei primi mesi del 2009una riorganizzazione sotto il profilo della gestione dei servizi informatici,facendo confluire nella capo-gruppo le funzioni precedentemente affidate aUnited Music s.r.l.", ha precisato, tra l'altro, che "A seguito ditali attività, per una mera dimenticanza, entrambe le società non hannoprovveduto ad effettuare le conseguenti notificazioni al Garante, ai sensidegli artt. 37 e 38 del Codice. In tale errore, causato anche da un mancatocoordinamento tra i responsabili dei vari settori delle diverse aziende delGruppo, deve altresì individuarsi la causa delle imprecisioni riscontrate nelleinformative rese agli interessati attraverso i siti web di proprietà delGruppo", integrando il predetto scritto difensivo con una nota datata 19febbraio 2011 nella la quale sono state illustrate le modalità con le quali si àprovveduto ad ottemperare a quanto prescritto dall'Autorità;

RITENUTOche le argomentazioni addotte non risultano idonee ad escludere laresponsabilità della società in relazione a quanto contestato per lemotivazioni di seguito riportate distintamente per ciascun rilievo. Riguardo laviolazione di cui all'art. 37 del Codice (afferente la contestazione di cui alverbale n. 21/2010 dell'8 marzo 2010), si evidenzia come il Gruppo, anche inbase a quanto ammesso in occasione dell'audizione del 9 febbraio 2011, abbiaritenuto erroneamente di non dover notificare il trattamento dei dati degliinteressati ai sensi dell'art. 37, comma 1, lett. d) del Codice. Nell'ambitodelle vicende societarie descritte, acquista autonomo rilievo la sola personagiuridica (Gruppo Finelco s.p.a.) e non anche il legale rappresentante dellastessa, che solo temporaneamente la rappresenta e che non acquisisce rilevanzaesterna (Trib. Catania, sent. n. 3241/11). Pertanto, nel caso di specie, ititolari del trattamento dei dati in questione erano la United Music s.r.l. esuccessivamente il Gruppo Finelco, a nulla rilevando che il loro legalerappresentante pro-tempore fosse la stessa persona (rag. Claudio Fabbri).Relativamente alle violazioni degli artt. 13 e 23 del Codice afferenti allacontestazione di cui al verbale n. 19653/67650 del 2 settembre 2010, si osservacome tali violazioni risultano accertate dal Garante nel provvedimento datato22 luglio 2010 e contestate, ai sensi dell'art. 14 della legge n. 689/1981,entro il termine di 90 giorni senza aggiungere alcuna ulteriore valutazione nelmerito. Quanto asserito negli scritti difensivi circa la mancata comunicazionedi dati a terzi e l'assenza di profilazione à, almeno in parte, contraddetto daquanto dichiarato nel verbale di audizione delle parti datato 9 febbraio 2011con riferimento alla causa della mancata notificazione da parte di Finelco e,comunque, non à documentato in alcun modo;

RITENUTO,invece, che, sulla base degli atti e di quanto rappresentato nel corso delprocedimento, non sussistono elementi per applicare la sanzione previstadall'art. 161 del Codice con riferimento alla contestazione di cui al verbalen. 21/2010 dell'8 marzo 2010, redatto dalla Guardia di finanza, in quanto ilnuovo provvedimento generale del Garante sulla videosorveglianza dell'8 aprile2010 (doc. web n. 1712680) non prevede più tassativamente che l'informativasemplificata, nei luoghi diversi dalle aree esterne, sia integrata con almenoun avviso circostanziato contenente tutti gli elementi richiesti dall'art. 13del Codice, ma specifica che il Garante ritiene "auspicabile" taleadempimento da parte del titolare del trattamento (punto 3.1);

RILEVATO,inoltre, che, con riferimento alla contestazione di cui al verbale n.19653/67650 del 2 settembre 2010, non si rilevano in atti elementi sufficientidi valutazione in ordine al numero degli interessati iscritti ai siti internetdel Gruppo Finelco s.p.a., al fine dell'applicazione della sanzione nella formaaggravata prevista dall'art. 164-bis, comma 3, del Codice;

RILEVATO,quindi, che il Gruppo Finelco ha effettuato un trattamento di dati personaliprevisto dall'art. 37, comma 1, lett. d), del Codice, omettendo di notificaretale trattamento al Garante; rilevato, altresì, che, a fronte della raccolta didati personali effettuata tramite i siti web www.105.net (anche al fine dipartecipare al concorso "Summer Compilation"),www.radiomontecarlo.net, www.unitedmusic.it e www.virginradioitaly.it, hainoltre omesso di rendere un'idonea informativa agli interessati ai sensidell'art. 13 del Codice, e di acquisire uno specifico consenso, ai sensidell'art. 23 del Codice, per i trattamenti di dati aventi quali finalitàl'invio di comunicazioni commerciali, le operazioni di profilazione e lacomunicazione a terzi;

VISTOl'art. 161 del Codice che punisce la violazione delle disposizioni di cuiall'art. 13 con la sanzione amministrativa del pagamento di una somma daseimila euro a trentaseimila euro;

VISTOl'art. 162, comma 2-bis, del Codice che punisce la violazione delledisposizioni indicate nell'art. 167 del Codice, tra le quali quella di cuiall'art. 23 del medesimo Codice, con la sanzione amministrativa del pagamentodi una somma da diecimila euro a centoventimila euro;

VISTOl'art. 163 del Codice che punisce la violazione delle disposizioni di cui agliart. 37 e 38 con la sanzione amministrativa del pagamento di una somma daventimila euro a centoventimila euro;

RITENUTOche, nel caso in cui l'infrazione non abbia caratterizzazioni specifiche chepossano portare a valutazioni di maggiore o minor rigore, nella determinazionedella sanzione può ritenersi corretta l'individuazione di un importo pari alterzo del massimo o, se più favorevole, al doppio del minimo, in linea conquanto previsto dall'art. 16 della L. n. 689/1981, ferma restando lavalutazione degli ulteriori elementi previsti dall'art. 11 della medesima legge(Cass. civ., sez. I, 4 novembre 1998, n. 11054);

CONSIDERATOche, ai fini della determinazione dell'ammontare della sanzione pecuniaria,occorre tenere conto, ai sensi dell'art. 11 della legge 24 novembre 1981 n.689, della gravità della violazione, dell'opera svolta dall'agente pereliminare o attenuare le conseguenze della stessa, della personalità e dellecondizioni economiche del contravventore;

CONSIDERATOche, nel caso in esame:

a) inordine all'aspetto della gravità, relativamente alle violazioni di cui agliartt. 161, 162, comma 2-bis, e 163, gli elementi dell'entità del pregiudizio odel pericolo, dell'intensità dell'elemento psicologico e delle modalitàconcrete della condotta non sono connotati da elementi specifici;

b) aifini della valutazione dell'opera svolta dall'agente, relativamente allacontestazione di cui all'art. 161 e a quella di cui all'art. 162, comma 2-bis,si rileva come la società abbia provveduto ad apportare le necessarie modifichealle informative di cui all'art. 13 del Codice, provvedendo altresì apredisporre specifiche formule di acquisizione del consenso al trattamento aisensi dell'art. 23 del Codice; i medesimi elementi, con riferimento allaviolazione di cui all'art. 163, devono essere valutati positivamente anche inragione della circostanza che il trasgressore, in data 14 aprile 2010, haprovveduto a effettuare la notificazione al Garante;

c) circala personalità dell'autore della violazione, deve essere positivamenteconsiderata la circostanza che il Gruppo Finelco non risulta avere precedentispecifici in termini di violazioni alle disposizioni del Codice;

d) inmerito alle condizioni economiche dell'agente, al fine di commisurare l'importodella sanzione alla reale capacità economica del trasgressore nel rispetto delprincipio di uguaglianza, si rileva che il Gruppo Finelco s.p.a., per l'anno2010, risulta aver conseguito un cospicuo valore della produzione;

RITENUTOdi dover determinare, ai sensi dell'art. 11 della legge n. 689/1981,l'ammontare della sanzione per la violazione dell'art. 161 nella misura di euro12.000,00 (dodicimila); per la violazione dell'art. 162,comma 2-bis, nellamisura di euro 20.000,00 (ventimila) e per la violazione prevista dall'art. 163nella misura di euro 20.000,00 (ventimila), per un importo complessivo pari aeuro 52.000,00 (cinquantaduemila);

VISTAla documentazione in atti;

VISTAla legge 24 novembre 1981 n. 689, e successive modificazioni e integrazioni;

VISTEle osservazioni dell'Ufficio formulate dal segretario generale ai sensidell'art. 15 del regolamento del Garante n. 1/2000, adottato con deliberazionedel 28 giugno 2000;

RELATOREla dott.ssa Giovanna Bianchi Clerici;

DISPONE

l'archiviazionedel procedimento sanzionatorio amministrativo con riferimento allacontestazione relativa alla violazione di cui all'art. 161 del Codice di cui alverbale nr. 21/2010 dell'8 marzo 2010 redatto dalla Guardia di finanza;

ORDINA

alGruppo Finelco s.p.a., con sede in Milano, largo Guido Donegani n. 1, inpersona del legale rappresentante pro-tempore, di pagare la somma di euro52.000,00 (cinquantaduemila) a titolo di sanzione amministrativa pecuniaria perle violazioni previste dagli artt. 161, 162, comma 2-bis, e 163 del Codice;

INGIUNGE

allamedesima società di pagare la somma di euro 52.000,00 (cinquantaduemila),secondo le modalità indicate in allegato, entro 30 giorni dalla notificazionedel presente provvedimento, pena l'adozione dei conseguenti atti esecutivi anorma dall'art. 27 della legge 24 novembre 1981, n. 689, prescrivendo che,entro il termine di giorni 10 (dieci) dal versamento, sia inviata a questaAutorità, in originale o in copia autentica, quietanza dell'avvenuto versamento.

Aisensi degli artt. 152 del Codice e 10 del d.lg. n. 150/2011, avverso ilpresente provvedimento può essere proposta opposizione all'autorità giudiziariaordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha laresidenza il titolare del trattamento dei dati, entro il termine di trentagiorni dalla data di comunicazione del provvedimento stesso, ovvero di sessantagiorni se il ricorrente risiede all'estero.

Roma, 24 gennaio 2013

Il presidente
Soro

Il relatore
Bianchi Clerici

Il segretario generale
Busia